Critical
最高 $50,000
直接盗取用户资金、未授权铸币，或导致资金损失的私钥泄漏。
奖励最高等级
依严重度分级奖励
奖励以美元计价，并以稳定币支付。最终金额取决于严重度、可利用性与报告品质。
High
最高 $25,000
资金暂时冻结、权限提升，或重大协议完整性问题。
Medium
最高 $5,000
影响有限、利用路径受限，或可恢复的状态损坏。
Low
最高 $1,000
低风险问题、最佳实务缺口，或具明确资安价值的资讯性发现。
范围
纳入范围
聚焦 SVP Chain 核心协议、官方应用，以及可能影响用户或网络的基础设施。
智能合约
托管资产或执行交易规则的链上模组与合约。
- 撮合、结算与保证金相关合约
- 跨链桥与托管相关合约
- 由 SVP 官方维护的代币与质押合约
网站与应用
可能导致资金损失或账户接管的官方前端与 API。
- 官方交易与钱包连线网页应用
- 身份验证与工作阶段处理缺陷
- 可导致未授权交易的 XSS / CSRF
基础设施
被攻破后可能造成系统性风险的对外服务。
- 具权限影响的 RPC / 索引器暴露
- 可导致网络中断的错误设定
- 官方部署中的密钥泄漏
规则
计划规则
请遵守负责任揭露。违反下列规则的报告可能不予奖励。
必须提供 PoC
每份报告都需包含清楚的概念验证、重现步骤与影响分析。
负责任揭露
请勿公开未修补漏洞。修补完成前，请透过 Discord 私下协调。
禁止行为
禁止钓鱼、社交工程、DoS，或对正式环境进行高流量自动化扫描。
不在范围
第三方服务、已知问题、无 PoC 的理论发现，以及纯 UI 外观问题。
流程
如何提交
调查
在本机 fork 或私有环境验证问题。
撰写报告
整理严重度、影响与可重现的 PoC。
于 Discord 回报
透过官方 SVP 资安频道提交。
分级与发放
我们审核、判定严重度并处理奖金。